TSUE: bank musi najpierw oddać pieniądze. Rażące niedbalstwo nie wstrzyma zwrotu

Gdy oszust przejmie dane do bankowości internetowej i wyprowadzi pieniądze z konta, prawo nazywa taką operację transakcją nieautoryzowaną, bo właściciel rachunku jej nie zlecił. Bank ma wtedy obowiązek oddać pieniądze bardzo szybko, najpóźniej do końca następnego dnia roboczego po zgłoszeniu. W praktyce wielu klientów słyszało jednak co innego: skoro sam podałeś login, hasło czy kod, dopuściłeś się rażącego niedbalstwa i zwrotu nie będzie. Kto chciał odzyskać pieniądze, musiał złożyć skargę do Rzecznika Finansowego albo pozwać bank.

15 października Trybunał Sprawiedliwości UE odwrócił tę kolejność. Rozpoznając sprawę C-70/25, uznał, że bank nie ma prawa wstrzymać zwrotu pieniędzy z nieautoryzowanej transakcji wyłącznie dlatego, że uważa, iż klient rażąco zaniedbał swoje obowiązki. Najpierw pieniądze mają wrócić na konto. Spór o to, kto ostatecznie poniesie stratę, może przyjść dopiero później.

Czego dotyczyła sprawa przed TSUE?

Klientka PKO BP sprzedawała rzeczy w internecie i dostała od rzekomego kupującego link do strony podszywającej się pod bank. Wpisała tam dane logowania, a oszust przelał z jej rachunku równowartość ok. 700 euro. Następnego dnia zgłosiła to bankowi, ale bank odmówił zwrotu, twierdząc, że klientka rażąco niedbale umożliwiła transakcję. Sprawa trafiła do Sądu Rejonowego w Koszalinie, który zapytał Luksemburg, czy dyrektywa o usługach płatniczych pozwala bankowi w takiej sytuacji odmówić zwrotu.

Co orzekł Trybunał? Najpierw zwrot, potem spór

Według komunikatu prasowego TSUE nr 147/26 Trybunał oddzielił dwie kwestie, które banki dotąd łączyły. Pierwsza to zwrot. Bank musi oddać kwotę nieautoryzowanej transakcji najpóźniej do końca pierwszego dnia roboczego po tym, jak ją stwierdził albo otrzymał zgłoszenie, o ile klient zgłosił ją bez zbędnej zwłoki. Przekonanie banku, że klient umożliwił transakcję przez rażące zaniedbanie, nie uprawnia go do wstrzymania zwrotu. Druga kwestia to ostateczne rozliczenie straty. Dopiero w tym, drugim kroku bank może w stosownych przypadkach dochodzić od klienta zwrotu poniesionej straty, ale tylko wtedy, gdy wykaże, że wynika ona z umyślnego lub rażąco niedbałego naruszenia obowiązków klienta, w szczególności dotyczących ochrony danych do logowania. Ciężar dowodu spoczywa na banku.

Trybunał uzasadnił to wysokim poziomem ochrony konsumentów. Gdyby bank mógł z góry odmawiać zwrotu, obowiązek niezwłocznego oddania pieniędzy straciłby sens, a klient musiałby sam dochodzić swoich praw, ponosząc koszty i niedogodności postępowania. Jeśli klient po zwrocie nie odda pieniędzy dobrowolnie, to bank, a nie on, będzie musiał iść do sądu i tam udowodnić rażące niedbalstwo.

Jedyny wyjątek: podejrzenie oszustwa samego klienta

Bank może wstrzymać zwrot tylko w jednej sytuacji: gdy ma uzasadnione podstawy, by podejrzewać, że oszustwa dopuścił się sam klient, a swoje podejrzenia przekaże pisemnie właściwemu organowi. W polskiej ustawie o usługach płatniczych chodzi o zawiadomienie organów ścigania, a podstawy podejrzenia muszą być należycie udokumentowane. To wyjątek wąski i dotyczy zupełnie innej sytuacji niż typowy phishing. Chodzi o przypadki, w których bank podejrzewa, że klient sam upozorował kradzież, a nie o takie, w których klient dał się oszukać. Jak podkreśla Rzecznik Finansowy, sam zarzut rażącego niedbalstwa nie wystarcza do wstrzymania zwrotu. Rzecznik Finansowy dr Michał Ziemiak skomentował wyrok słowami: „Bank nie może być sędzią we własnej sprawie”.

Czy wyrok dotyczy przelewu, który sam zleciłem oszustowi?

To najważniejsze zastrzeżenie dla czytelników. Wyrok dotyczy transakcji nieautoryzowanej, czyli takiej, którą wykonał ktoś inny, np. oszust, który zalogował się na cudze konto. Inaczej wygląda sytuacja, w której klient, zmanipulowany przez fałszywego pracownika banku, policjanta czy inwestycyjnego „doradcę”, sam wpisał dane odbiorcy i zatwierdził przelew. Zgodę na płatność wyraził wtedy sam posiadacz rachunku, nawet jeśli został wprowadzony w błąd, dlatego przelew uznaje się zwykle za autoryzowany. Obowiązek zwrotu w terminie D+1 w takim przypadku nie działa. Szansą na odzyskanie środków jest przede wszystkim szybkie zatrzymanie ich u odbiorcy, zanim oszust je wypłaci, oraz śledztwo prokuratury. Granica bywa jednak sporna. Prawidłowe zalogowanie czy poprawnie wpisany kod SMS same w sobie nie przesądzają, że to klient zlecił transakcję, a według ustawy to bank musi udowodnić, że operacja była autoryzowana. Dlatego odmowę opartą wyłącznie na tym, że uwierzytelnienie przebiegło prawidłowo, warto zakwestionować.

Bank odmówił zwrotu wcześniej. Co teraz?

Wyrok TSUE nie wraca automatycznie pieniędzy osobom, którym bank odmówił w przeszłości, ale wyjaśnia, jak przepisy należało stosować od początku. Klient, który zgłosił nieautoryzowaną transakcję w terminie, czyli bez zwłoki, a najpóźniej 13 miesięcy po obciążeniu konta, a mimo to usłyszał odmowę z powodu rażącego niedbalstwa, może złożyć ponowną reklamację powołującą się na wyrok, wystąpić do Rzecznika Finansowego albo skierować sprawę do sądu. Znaczenie będzie miało przedawnienie roszczenia oraz to, czy sprawa nie zakończyła się już prawomocnym wyrokiem. Sam PKO BP, pozwany w tej sprawie, jeszcze przed wyrokiem zapewniał, że postępuje już zgodnie z marcową opinią rzecznika generalnego TSUE. Daty tej zmiany nie ujawnił i nie wyjaśnił, co z reklamacjami odrzuconymi wcześniej. Część rynku jest już w tym zakresie pod presją UOKiK: według Prawo.pl cztery postępowania zakończyły się decyzjami zobowiązującymi, a dziesięć wobec innych dużych banków trwa.

Skala problemu jest duża. Według danych NBP przytaczanych przez Prawo.pl w pierwszym kwartale 2026 r. odnotowano blisko 39,2 tys. nieautoryzowanych transakcji o wartości ok. 246 mln zł, z czego banki pokryły ok. 27 mln zł, czyli ok. 11 proc. Do Rzecznika Finansowego w latach 2022–2025 wpłynęło ponad 10 tys. wniosków o interwencję w sprawach odmowy zwrotu.